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EU-voorstel: Richtlijn bescherming 
persoonsgegevens bij gebruik door politiële en 
justitiële autoriteiten (COM(2012)10) en 
EU-voorstel Verordening algemeen kader 
bescherming persoonsgegevens COM(2012)11) 1 


BRIEF VAN DE MINISTER VAN VEILIGHEID EN JUSTITIE 

Aan de Voorzitter van de Eerste Kamer der Staten-Generaal 
Den Haag, 5 april 2016 

Op 8 maart 2016 mocht ik in een mondeling overleg met de Vaste 
Commissie voor Immigratie en Asiel/JBZ Raad van uw Kamer een 
toelichting geven op de afronding van Algemene verordening gegevens¬ 
bescherming. Mij werd gevraagd een nadere schriftelijke uitleg te geven 
van de betekenis van het verwerken van gepseudonimiseerde gegevens 
en de verwerking van gegevens voor archieven met een openbaar belang 
en voor wetenschappelijke en historische onderzoeksdoeleinden en 
statistische doeleinden. Aan dat verzoek voldoe ik graag. Waar ik in het 
onderstaande verwijs naar overwegingen de artikelen uit de Algemene 
verordening gegevensbescherming betreft dit de nummering in stuk ST 
15321/15. Dit stuk bevat de tekst van politieke compromis dat in december 
2015 is gesloten. Ik bood die tekst aan bij brief van 9 januari 2016 
(Kamerstukken II 2015/16, 32 761, nr. 91). 

Verwerken van gepseudonimiseerde persoonsgegevens 

Bij het pseudonimiseren van gegevens wordt een bewerking toegepast 
die ertoe leidt dat de gegevens die een betrokkene direct identificeren 
worden vervangen door gegevens die de betrokkene niet rechtstreeks 
identificeren, bijvoorbeeld door toekenning van een willekeurige letter of 
lettercombinatie of een getal aan de betrokkene en de betrokkene 
vervolgens als zodanig aan te duiden. Pseudonimisering is in de context 
van de verordening een omkeerbare bewerking. Wie de sleutel bezit kan 
de bewerking omkeren. Het gescheiden bewaren van sleutels en 
gegevens is dan ook van bijzonder belang. Ook in ander opzicht biedt 
pseudonimisering geen volledige zekerheid. Indien gepseudonimiseerde 
gegevens worden vergeleken met andere, niet in de pseudonimisering 
betrokken gegevens kan dit onder omstandigheden leiden tot (her)identifi- 
cering van de betrokkene. Deze inzichten hebben tijdens de onderhande- 
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lingen over de Algemene verordening gegevensbescherming tot de 
beslissing geleid dat gegevens die aan pseudonimisering onderworpen 
zijn niet het karakter van persoonsgegevens te ontnemen. Daarmee 
blijven gepseudonimiseerde gegevens onderworpen aan het regime van 
de verordening. Alleen wanneer gegevens geanonimiseerd zijn is de 
verordening niet meer van toepassing op de gegevens. Gegevens kunnen 
alleen als zodanig worden aangemerkt als buiten twijfel staat dat zij niet of 
niet meer herleid kunnen worden tot een individuele persoon. 

Pseudonimisering is niettemin een zinvolle methode om persoonsge¬ 
gevens te beschermen. In de overwegingen 23, 23a en 23c van de 
verordening is verwoord dat verantwoordelijken pseudonimisering 
kunnen toepassen om de risico's voor de betrokkenen die verbonden zijn 
aan een verwerking te kunnen beheersen. Omdat pseudonimisering geen 
methode is die alle risico's voorkomt moeten aanvullende beveiligings¬ 
maatregelen worden genomen als de aard van de desbetreffende 
verwerking daartoe noopt. In artikel 4, lid 3a, is een begripsbepaling van 
pseudonimisering opgenomen. Daarin staat dat de informatie die gebruikt 
moet worden om de betrokkenen te identificeren gescheiden moet 
worden bewaard van de eigenlijke gegevens. Verder dienen technische en 
organisatorische maatregelen te worden getroffen om dat doel te 
bereiken. Te denken valt aan beperking van de kring van toegangsgerech- 
tigden binnen de organisatie van de verantwoordelijke. 

De verordening verbindt aan het toepassen van pseudonimisering geen 
rechtsgevolgen. Gepseudonimiseerde gegevens zijn daarom geen 
afzonderlijke categorie gegevens die onderworpen zijn aan minder zware 
verplichtingen voor een verantwoordelijke die deze gegevens verwerkt. 
Pseudonimisering is wel een waarborg voor de rechten en vrijheden van 
het individu. Pseudonimisering heeft daarom een zekere voorkeurspositie 
als het bij het gebruik van bepaalde bevoegdheden of verplichtingen op 
grond van de verordening waarborgen geboden moeten worden. Dat is 
het geval bij het verder verwerken van gegevens voor een ander doel dan 
waarvoor ze oorspronkelijk zijn verzameld (artikel 6, lid 3a, onder e), bij 
het treffen van maatregelen in het kader van «Privacy by Design» (artikel 
23), bij het treffen van beveiligingsmaatregelen (artikel 30, eerste lid, 
onder a), bij het verhogen van het beschermingsniveau van gedragscodes 
(artikel 38, lid la, onder bb) en bij het verwerken van gegevens in het 
kader van archieven met een openbaar belang, en voor historische en 
wetenschappelijke onderzoeksdoelen en voor statistische doeleinden 
(artikel 83, eerste lid). 

Ik ben van oordeel dat de wijze waarop pseudonimisering in de veror¬ 
dening wordt behandeld uit een oogpunt van bescherming van de rechten 
en vrijheden van betrokkenen verantwoord is. 

Verwerken van persoonsgegevens in archieven met een openbaar belang 
en voor historische, wetenschappelijke en statistische doeleinden 

In de nu nog geldende richtlijn 95/46/EG (hierna: de richtlijn) worden 
verwerkingen van persoonsgegevens voor historische, wetenschappelijke 
en statistische doeleinden enigszins apart behandeld. De verdere 
verwerking van persoonsgegevens voor deze doeleinden wordt door de 
richtlijn als een rechtmatig nevendoel aangemerkt. Bewaartermijnen 
mogen voor deze verwerking ook afwijken. De reden daarvoor is dat voor 
wetenschappelijke en statistische doeleinden doorgaans geen verwerking 
op individueel niveau is beoogd, al is herleiding van een gegeven op 
individueel niveau bij bepaalde wetenschappelijke toepassingen soms wel 
nodig. Voor historische doeleinden is minder evident dat verwerking niet 
primair op individueel niveau plaatsvindt. De Europese wetgever heeft 
niettemin geregeld dat deze verwerkingen gelijk worden behandeld met 
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verwerkingen voorwetenschappelijke en statistische doeleinden. Op deze 
grondslag is overigens de regeling voor het verwerken van gegevens in 
archieven mede gebaseerd. Indien persoonsgegevens worden verwerkt 
voor historische, wetenschappelijke en statistische doeleinden dan geldt 
een minder vergaande informatieplicht voor de verantwoordelijke. Indien 
het onmogelijk blijkt of onevenredig veel inspanning vergt om de 
betrokkene op individueel niveau te informeren over de doeleinden van 
de verwerking en andere aspecten daarvan, dan mag dat achterwege 
worden gelaten. Om dezelfde reden zijn ook uitzonderingen op de rechten 
van inzage, verbetering, verwijdering en afscherming mogelijk. Als dat 
niet zou zijn geregeld, dan zouden wetenschappelijke instellingen en het 
Centraal Bureau voor de Statistiek die zeer grote hoeveelheden gegevens 
verwerken met onmogelijk uitvoerbare verplichtingen worden belast. 

Dit stelsel wordt in grote lijnen gehandhaafd in de verordening. Wel zijn 
de wetenschappelijke en historische doeleinden op aandrang van het 
Europees parlement beperkt tot «onderzoeks"doeleinden. Aan de 
opsomming van doeleinden is nu toegevoegd dat ook de verwerking van 
persoonsgegevens in archieven met een openbaar belang op dezelfde 
wijze wordt behandeld. Onder archieven met een openbaar belang wordt 
in elk geval het archiefwezen op publiekrechtelijke grondslag begrepen, 
zoals het Nationaal Archief, en de verzamelingen van ministeries, 
provincies, gemeenten, waterschappen en ZBO's. Niet valt in te zien dat 
archieven van bijvoorbeeld kerkgenootschappen of historische verzame¬ 
lingen van bedrijven die een zekere culturele waarde voor Nederland 
vertegenwoordigen daar niet ook onder zouden kunnen vallen. Echter, 
niet elk archiefdoeleinde rechtvaardigt een enigszins andere benadering. 
Als dat wel zo zou zijn, dan zouden er bijvoorbeeld nooit bewaartermijnen 
vastgesteld hoeven te worden voor elk gegeven dat voor elk archiefdoel¬ 
einde verwerkt wordt. Het beginsel van minimale opslag, bedoeld in 
artikel 5, eerste lid, onder e, van de verordening zou zo gemakkelijk 
kunnen worden ontgaan. Verder moet bedacht worden dat de verordening 
vergeleken met de richtlijn meer verplichtingen voor verantwoordelijken 
en meer rechten voor de betrokkene bevat. Dit dwong de Europese 
wetgever tot een meer gedetailleerde benadering van de verwerking voor 
deze doeleinden. 

Artikel 5, eerste lid, onder e, van de verordening regelt de uit de richtlijn 
bekende uitzondering op de bewaartermijnen. In artikel 6, lid 2a, is 
geregeld dat de lidstaten specifieke regels kunnen vaststellen voor de 
nadere invulling van de verordening. Daarbij wordt met name verwezen 
naar Hoofdstuk IX. In dat hoofdstuk is een specifieke bepaling opgenomen 
ten aanzien van de verwerking van gegevens in archieven met een 
openbaar belang en voor historische en wetenschappelijke onderzoeks¬ 
doeleinden en statistische doeleinden waarop hieronder nog wordt 
teruggekomen. In artikel 9 is een uitzondering opgenomen op het verbod 
om bijzondere persoonsgegevens te verwerken voor de bijzondere 
doeleinden. Die uitzondering staat niet in de richtlijn, maar is gezien het 
evidente belang voor het gezondheidsonderzoek onomstreden. De 
verordening kent een afzonderlijke regeling voor het verlenen van 
toestemming door de betrokkene (artikel 7). In de praktijk van het 
gezondheidsonderzoek worden grote hoeveelheden gegevens verzameld 
en gedurende lange perioden bewaard. Lange bewaartermijnen zijn 
gerechtvaardigd, omdat sommige effecten van bijvoorbeeld blootstelling 
aan bepaalde stoffen of de aanleg voor bepaalde aandoeningen pas na 
lange tijd zijn vast te stellen. Soms blijkt bij onderzoek dat onvoorziene 
correlaties aan het licht treden en dat nieuw onderzoek met oude 
gegevens waardevol is. Het is dan de vraag of de verantwoordelijke in 
staat is om lange tijd nadat de gegevens met toestemming van de 
betrokkene zijn verzameld opnieuw naar de betrokkene te gaan om te 
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vragen of de toestemming ook betrekking kan hebben op een nieuw 
onderzoeksdoeleinde. Betrokkenen zijn misschien overleden of anderszins 
niet meer te bereiken. 

Overweging 25aa geeft aan voor de oplossing van dit vraagstuk een 
belangrijke uitleg. Het is mogelijk om de betrokkene toestemming te 
vragen tot een terrein of categorie van wetenschappelijk onderzoek 
zonder dat het onderzoeksdoeleinde tot in detail tevoren wordt 
vastgelegd. Bij dat onderzoek moeten dan wel algemeen erkende of 
aanvaarde ethische normen in acht worden genomen. De verordening 
vooronderstelt het bestaan van die normen. Wel moet de betrokkene bij 
het vragen van toestemming informatie ontvangen over de categorieën 
van doeleinden die het onderzoek kan omvatten en moet hij in staat zijn 
de verwerking te beperken tot door hem gekozen categorieën. 

In artikel 14a, vierde lid, onder b, is geregeld dat een uitzondering op de 
informatieverplichting van de verantwoordelijke mogelijk is voor de 
gevallen waarin de gegevens niet rechtstreeks van de betrokkene zijn 
verkregen en het verstrekken van de informatie onmogelijk is of een 
onredelijk zware inspanning vergt. Daaraan is toegevoegd dat die 
verplichting ook niet hoeft te worden nagekomen als dit de nagestreefde 
doeleinden ernstig zou belemmeren. In overweging 50 wordt dit belang 
onderstreept. 

In artikel 83 van de verordening is een afzonderlijke regeling gegeven 
voor alle verwerkingen voor archieven van openbaar belang, wetenschap¬ 
pelijk en historisch onderzoek en statistische doeleinden. Artikel 83, eerste 
lid, geeft een algemene regel die geldt voor al deze doeleinden, ongeacht 
de hoedanigheid van de verantwoordelijke. Dit is gedaan om ervoor te 
zorgen dat ook de private sector onderworpen is aan een zeker minimum 
aan regels. Voor het Europees parlement bleek dit een belangrijke eis. De 
verantwoordelijke is verplicht passende waarborgen voor de rechten en 
vrijheden van de betrokkene vast te stellen. Die waarborgen moeten in elk 
geval technische en organisatorische maatregelen omvatten die erop 
gericht zijn om in het bijzonder het beginsel van dataminimalisatie na te 
streven. Dat kan onder meer gebeuren met behulp van pseudonimisering 
als dat een geschikt middel is om dataminimalisatie na te streven. Indien 
een andere methode beschikbaar is die tot effect heeft dat de betrokkene 
niet of niet langer identificeerbaar is dan moet die methode worden 
gekozen. In overweging 125 wordt verduidelijkt dat deze ruim geformu¬ 
leerde bepaling in ieder geval door de lidstaten nader kan worden 
ingevuld. Deze overweging kan worden opgevat als een verwijzing naar 
artikel 6, lid 2a, van de verordening. Daar is een algemene mogelijkheid 
tot invulling van de verordening geregeld. 

In artikel 83, tweede en derde lid, zijn de bevoegdheden om af te wijken 
van de rechten van de betrokkene geregeld. Afwijking is mogelijk van de 
rechten op inzage, verbetering, afscherming, verwijdering - met inbegrip 
van het vergeetrecht - en het recht van bezwaar bij alle bijzondere 
verwerkingsdoelen. Bij doeleinden verband houdend met archieven in het 
openbaar belang is bovendien afwijking van de notificatieplicht en het 
recht op dataportabiliteit mogelijk. Een afwijking moet door de Uniewet- 
gever of de nationale wetgever worden geregeld. Daarbij geldt dat de 
waarborgen als bedoeld in het eerste lid van overeenkomstige toepassing 
zijn en bovendien dat de afwijkingen niet verder mogen gaan dan 
noodzakelijk is voor de vervulling van het specifieke oogmerk ervan. Een 
voorbeeld kan dit verduidelijken. Ten aanzien van een archief kan het recht 
op verbetering of verwijdering van gegevens of het vergeetrecht niet 
onverkort worden uitgeoefend. Als dat wel het geval zou zijn, dan zou dit 
leiden tot geschiedvervalsing en dat zou tot gevolg hebben dat de 
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doelstelling van het archief, het behoud van nationaal erfgoed, zou 
worden ondergraven. Wat wel mogelijk is, is dat betrokkene in staat wordt 
gesteld zijn recht op verbetering uit te oefenen door middel van opname 
van een eigen lezing in het archief. De Archiefwet 1995 bevat een 
dergelijke regeling. Bij de implementatie van de verordening zal worden 
bezien welke wettelijke voorschriften in Nederland terzake moeten worden 
vastgesteld. Tenslotte is in artikel 83, vierde lid, neergelegd dat wanneer 
een verwerking voor één van de bijzondere doeleinden wordt gecombi¬ 
neerd met een ander doeleinde de beperkingen van de rechten van de 
betrokkene geen betrekking kunnen hebben op het andere doeleinde. 

De artikelen 5, 14a en 83 van de verordening en de op die artikelen 
betrekking hebbende overwegingen vormen een ingewikkeld geheel. Dit 
geheel is zowel binnen de Raad als tussen Raad en Europees parlement 
vanaf het begin tot het eind van het onderhandelingsproces een van 
meest omstreden onderwerpen geweest. 

Voor Nederland is in dit proces altijd belangrijk geweest dat de verwerking 
van persoonsgegevens voor met name wetenschappelijke onderzoeks¬ 
doeleinden niet aan zwaardere eisen zou moeten worden onderworpen 
dan strikt gerechtvaardigd is. Uit dit oogpunt bezien heb ik gemeend dat 
het compromis kon worden aanvaard. Dat dit leidt tot een ingewikkelder 
geheel aan regels dat bovendien nog nadere invulling in de praktijk 
behoeft is met dit compromis verbonden. 

De Minister van Veiligheid en Justitie, 

G.A. van der Steur 
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